Wielu przedsiębiorców uruchomiło swoje strony internetowe kilka lat temu i od tego czasu nie weryfikowało sposobu wykorzystywania plików cookies. Tymczasem przepisy oraz wytyczne organów nadzorczych w tym zakresie uległy zmianie. W efekcie wiele funkcjonujących obecnie serwisów internetowych nie spełnia aktualnych wymogów dotyczących uzyskiwania zgody użytkownika oraz realizacji obowiązków informacyjnych.

Jeżeli prowadzisz stronę internetową, warto sprawdzić, czy stosowane rozwiązania są zgodne z obowiązującymi przepisami.

Kiedy zgoda użytkownika na pliki cookies jest wymagana?

Zgodnie z art. 399 ustawy Prawo komunikacji elektronicznej zgoda użytkownika na stosowanie plików cookies nie jest wymagana wyłącznie w przypadku gdy ich stosowanie jest konieczne do:

• wykonania transmisji komunikatu elektronicznego za pośrednictwem publicznej sieci telekomunikacyjnej lub
• dostarczania usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną, żądanej przez abonenta lub użytkownika końcowego.

Tego rodzaju pliki cookies określa się mianem plików niezbędnych.

Korzystanie z innego rodzaju plików cookies (wykorzystywanie w innych celach) wymaga uzyskania zgody użytkownika strony internetowej. Dotyczy to między innymi plików analitycznych, czy też plików reklamowych.

Jak użytkownik powinien wyrazić zgodę?

Przepisy określają nie tylko obowiązek uzyskania zgody, ale również sposób jej wyrażenia.

Przede wszystkim zgoda musi mieć charakter aktywny. Nie może być domyślnie zaznaczona ani wynikać z bezczynności użytkownika.

Jednocześnie zgoda musi być dobrowolna. Oznacza to, że brak jej wyrażenia nie może wiązać się z żadnymi negatywnymi konsekwencjami dla użytkownika strony internetowej, między innymi brakiem możliwości korzystania z serwisu lub jego określonych funkcji

Administrator strony powinien również zapewnić użytkownikowi możliwość łatwego wycofania zgody. W praktyce najczęściej realizowane jest to poprzez udostępnienie mechanizmu zarządzania plikami cookies dostępnego na stronie internetowej.

Zgoda powinna zostać wyrażona przed faktycznym rozpoczęciem korzystania z plików cookies wymagających zgody użytkownika. Powinna być udzielona poprzez wybór odpowiedniego przycisku dostępnego na stronie.

Użytkownik powinien mieć możliwość:

• wyrażenia zgody na wszystkie pliki cookies (niezbędne oraz dodatkowe),
• odrzucenia plików cookies innych niż niezbędne,
• samodzielnego wyboru kategorii plików cookies, na które chce wyrazić zgodę, za pomocą mechanizmu zarządzania zgodami.

Baner cookies a tzw. dark patterns

Sposób zaprojektowania banera cookies również ma znaczenie z punktu widzenia zgodności z prawem.

Przyciski umożliwiające użytkownikowi podjęcie decyzji powinny mieć tę samą wielkość, czcionkę oraz kolor. Wyróżnianie przycisku służącego do wyrażenia zgody, na przykład poprzez zastosowanie bardziej kontrastowego koloru, może zostać uznane za praktykę manipulacyjną (tzw. dark pattern) i jest niezgodne z obowiązującymi wymaganiami.

Obowiązki informacyjne

Przed wyrażeniem zgody użytkownik powinien zostać poinformowany w sposób jednoznaczny, łatwy i zrozumiały o:

• rodzajach wykorzystywanych plikach cookies, w tym celach ich wykorzystywania,
• podmiotach zarządzających plikami cookies (pliki własne lub pliki podmiotów trzecich),
• możliwości zarządzania plikami cookies, w tym możliwości wyrażenia zgody lub odrzucenia plików cookies,
• możliwości określenia przez użytkownika warunków przechowywania lub uzyskiwania dostępu do plików cookies za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez użytkownika telekomunikacyjnym urządzeniu końcowym lub konfiguracji usługi,
• przetwarzaniu danych osobowych (jeśli pliki cookies zbierają dane osobowe),
• żywotności plików cookies.

Powyższe obowiązki informacyjne spełnia się za pomocą tzw. cookie banera oraz polityki plików cookies.

Ważne: powyższe zasady mają zastosowanie również do innych mechanizmów śledzących wykorzystywanych na stronach internetowych.

Checklista dla przedsiębiorcy

Jeśli prowadzisz stronę internetową i wykorzystujesz pliki cookies do śledzenia użytkowników musisz podjąć następujące działania:

• zweryfikuj jakie pliki cookies wykorzystuje Twoja strona, w tym czy są to pliki cookies podmiotów trzecich – bez tego nie spełnisz w sposób prawidłowy obowiązku informacyjnego
• ustal, które pliki cookies są niezbędne, a co za tym idzie na ich stosowanie nie potrzebujesz zgody użytkownika
• zapewnij mechanizm pozwalający na stosowanie plików cookies dodatkowych wyłącznie po wyrażeniu zgody przez użytkownika
• wdróż na stronie cookie baner zawierający wszelkie niezbędne informacje
• daj użytkownikowi możliwość wyrażenia zgody na pliki cookies dodatkowe, odrzucenie tych plików lub zarządzenie plikami według jego wyboru
• wdróż przyciski tej samej wielkości, czcionki i koloru (nie wyróżniaj przycisku do wyrażenia zgody)
• daj użytkownikowi strony łatwą możliwość wycofania zgody, np. poprzez zamieszczony na stronie mechanizm zarządzania plikami cookies
• przygotuj i wdróż politykę plików cookies, w której zamieścisz informację między innymi o rodzaju stosowanych plikach cookies, okresie ich żywotności, celach ich stosowania, partnerach, sposobach zmiany ustawień, informacje o przetwarzaniu danych osobowych.

Podsumowanie

Nieprawidłowo wdrożony baner cookies to nie wyłącznie błąd techniczny. Jeżeli pliki cookies wymagające zgody  uruchamiają się przed jej uzyskaniem lub użytkownik nie ma możliwości swobodnego wyrażenia albo odmowy zgody, administrator strony może naruszać przepisy Prawa komunikacji elektronicznej oraz,  w zależności od sposobu wykorzystywania plików cookies, również przepisy RODO.

radca prawny Patrycja Wasilewska, szefowa praktyki prawa ochrony danych osobowych